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(57) Abstract: The invention relates to a method for processing data (LECMl), encoded by means of an encoding process unique to 
a first domain such that said data may not be decoded other than by means of a first secret (KNl) unique to the first domain. Said data 
are received in a display device (202) connected to a network pertaining to a second domain. The method comprises the following 
steps for the display device of: (a) transmitting (404) at least one part (E{ KNl } (KC)) of said encoded data to a processing device (21 1) 
connected to the network; (b) receipt (408) from said processing device (211) of at least one element (E{KN2}(K*C)1E{K*C}(KC)) 
for decoding said received data by means of a second secret (KN2) unique to the second domain, said second secret begin held in 
the display device, 
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(57) Abr^g^ : Uinvention concerne un proc^6 de traitement de donn^es (LECMl), chififrtes scion un proc6d6 de chififrement propre 
k un premier domaine de sorte qu*elles ne puissent etre d^chiffr^es qu'^ r aide d'un premier secret (KNl) propre au premier domaine, 
ces donn^es 6tant regues dans un dispositif de presentation (202) raccord^ ^ un r^seau appartenant ^ un second domaine. Le proc6d6 
comporte les Stapes consistant pour le dispositif de presentation ^ : (a) transmettre (404) ^ un dispositif de traitement (211) raccord6 
au i^seau une partie (E{KN1 }(KC)) au moins desdites donn6es chififrees ; (b) recevoir (408) dudit dispositif de traitement (211) au 
moins un 616ment (E{KN2)(K*C)IE{K'C)(KC)) permettant de d6chiffrer lesdites donntes rcgues k 1' aide d'un second secret (KN2) 
propre au second domaine, le second secret ^tant contenu dans le dispositif de presentation. 
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Proced6 de traitement de donnees chiffr6es pour un premier domaine et 
recues dans un reseau aopartenant a un second domaine 

Domaine de I'mvention 
5 La pr6sente invention concerne le domaine de la protection contra la 

copie de donnees numdriques et centre I'acc^s illegal d de telles donnees, en 
particulier dans le cas de donnees circulant dans des r^seaux numSriques 
locaux tels des r^seaux domestiques num^riques. 

10 Etat de la technique 

II est connu dans le contexte de la protection centre la copie illicite de 
donn6es num6riques des syst6mes dans lesquels un contenu num^rique peut 
§tre copie pour etre utilise dans un domaine determine. On entend par domaine 
un ensemble d'appareils appartenant par exemple d un m§me reseau 

15 domestique, ces appareils partageant un secret propre au domaine, par 
exemple une de de chiffrement cryptographique. Un appareit appartenant d un 
domaine peut etre un appareil portable. Son appartenance d un domaine 
particulier sera d6temiin6e par sa connaissance du secret propre ^ ce domaine 
particulier. 

20 Les contenus num§riques dans un tel domaine peuvent etre de trois 

sortes : 

- « copie libre » : ce type de contenu peut etre enregistr6 et relu dans 
n'importe quel domaine, il n'est done pas n6cessaire de connattre un secret 
propre a un domaine pour lire ce type de contenu ; 

25 - « copie priv6e » : ce type de contenu ne peut etre copie que pour 

un domaine particulier dans lequel 11 pourra §tre relu ; le contenu est enregistre 
sous une forme qui necessite la connaissance du secret du domaine particulier 
pour pouvoir §tre relu. Ce type de contenu ne peut pas etre lu sur un appareil 
qui n'appartient pas au domaine particulier. 

30 - « lecture seule » : ce type de contenu peut seulement §tre lu dans 

un domaine particulier mais il ne peut pas §tre copi6 ; ou si des copies du 
contenu sont effectu^es, celles-ci ne pourront pas §tre relues ensuite. 

Un contenu numerique entre g6n6ralement dans un domaine S 
travers un dispositif d'acc6s ou dispositif source. Ce type de dispositif r6cupere 

35 des donn6es num6riques d travers un canal exteme au domaine et les diffuse 
aux autres dispositifs du domaine, par exemple grice a un bus numerique 
reliant les differents appareils du domaine. Un dispositif source peut notamment 
Stre un d6codeur numerique destine d recevoir des programmes video de 
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rexterieur d'un reseau domestique numerique, via une antenna satellite ou una 
connexion au cable, pour las diffuser dans le r6seau. II peut egalement s'agir 
d'un lecteur de disque optique diffusant dans un reseau domestique des 
donnees (audio et/ou video) lues sur un disque optique (le disque contient dans 
5 ce cas des donnees provenant de Texterieur du reseau). 

A rint6rieur du domaine, les contenus numeriques peuvent etre 
enregistres par des dispositifs d'enregistrement numeriques, tels un 
enregistreur DVD (de Tangiais « Digital Versatile Disc » signifiant litteralement 
« Disque Polyvalent Numerique ») ou un disque dur. 

10 Finalement, le contenu est pr§sent6 aux utillsateurs du domaine par 

des dispositifs de pr6sentation. Ces dispositifs sont adaptes a recevoir les 
contenus du domaine (notamment les donnfees num6riques circulant dans un 
r§seau domestique num6rique) pour les traiter (notamment pour les decrypter si 
ndcessaire) et les pr6senter d I'utilisateur final, il s'agit notamment de 

15 r6cepteurs de t6l6vlsion permettant de visualiser des donnees video ou 
d'appareils Hi-Fi pour ecouter des donnees audio. 

Un dispositif source contient g6neralement un module dit « d'acces 
conditionnel » ou un module de gestion des droits numeriques (dit « module 
DRM » pour « Digital Rights Management ») selon que le contenu est 

20 respectivement un contenu « diffus6 » (« broadcast content » en anglais) ou un 
contenu « large bande » (« broadband content » en anglais). Ces modules 
gerent la protection du contenu mise en place par le fournisseur de contenu. 

Par exemple, si Ton considere des programmes televises payants, le 
fournisseur de contenu, c*est d dire le diffuseur de programmes, fournit 

25 habituellement les programmes numeriques sous une forme embroulllee (c'est 
d dire cryptee) a Taide de des appel§es mots de controle, les mots de controle 
6tant eux-memes transmis avec les donnees sous forme chiffree dans des 
messages appeles « ECM » (de Tanglais « Entitlement Control Message » 
signifiant litteralement « Message de Controle des Droits »). Le fournisseur de 

30 contenu fournit egalement aux abonnes ayant paye pour recevoir les 
programmes la cle permettant de dechiffrer les mots de controle et un module 
d'acces conditionnel contenant, entre autre, Talgorithme de dechiffrement des 
mots de controle (la cle et le module d'accfes conditionnel sont 
preferentiellement Indus dans une carte a puce). C'est aussi le fournisseur de 

35 contenu qui d6finit les regies d'utilisation du contenu fourni, c'est ^ dire qui 
deflnit si le contenu est du type « copie libre », « copie priv6e » ou « lecture 
seule ». 
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Dans le systeme de protection centre la copie connu sous le nom de 
SmartRight™ (SmartRight est une marque d§posee de la society THOMSON 
multimedia), les dispositifs sources transforment les contenus re9us en fonction 
des regies d'utilisation de ces contenus. 
5 Lorsqu'un contenu re^u par un dispositif source d'un domaine donn^ 

est de type « copie privee », le contenu est transform^ de maniere d ce qu'il ne 
puisse §tre d§crypte que par des dispositifs de presentation appartenant d ce 
domaine particulier (et done partageant tous un meme secret). La demande de 
brevet frangais No. 01 05568. ddpos^ le 25 avril 2001 au nom du demandeur 

10 THOMSON Licensing S.A., concernant un precede de gestion de cl6 
sym^trique dans un r^seau de communication, d^crit notamment comment 
cette transfomiation est effectu6e de sorte que seuls les dispositife de 
presentation connaissant une cl6 secrete du r^seau de communication sent 
capables de dScrypter le contenu pour le lire. 

15 On notera que, dans la suite de la description, les termes « cl6 

secrdte » ou « cle symetrique » seront utilises pour designer une cle 
cryptographique utilisee dans un algorithme de chiffrement ou de decliiffrement 
symetrique, tel que I'algorithme connu sous le nom de AES (acronyme de 
« Advanced Encryption Standard ») ou encore sous le nom de « Rijndaet » et 

20 d6crit notamment dans le document « Proceedings from the first Advanced 
Encryption Standard Candidate Conference, National Institute of Standards and 
Technology (NIST), aoQt 1998, J. Daemen et V. Rijmen ». 

Lorsqu'un contenu regu par un dispositif source est de type « lecture 
seule », le contenu est egalement transfomne par ce dispositif source en 

25 utilisant le proc§d§ d6crit dans la demande de brevet precitee de sorte qu'il ne 
puisse Stre lu que par les dispositifs de presentation du r^seau qui connaissent 
la cle secrete du reseau. De plus, un precede decrit dans la demande de brevet 
frangais No. 00 15894, deposee le 7 decembre 2000 au nom de THOMSON 
multimedia, est mis en oeuvre pour que le contenu ne puisse pas §tre copie 

30 dans le domaine ou qu'en cas de copie, celle-ci ne puisse pas etre relue par les 
dispositifs de presentation du domaine. 

Lorsqu'un contenu re^u dans un domaine est de type « copie libre », 
il est generalement en clair et est laisse sous cette forme par le dispositif source 
qui a regu le contenu pour le diffuser dans le domaine. 

35 GrSce ^ ce systeme. il est possible d un utilisateur qui regoit un 

contenu apres avoir paye au fournisseur de ce contenu les droits associes, de 
garder une copie privee de ce contenu pour son usage personnel ulterieur. 
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Cette copie ne pourra etre lue que par des dispositifs de presentation de son 
domaine, c'est a dire du domaine dans lequel le contenu a ete re^u initiafement. 

N6anmoins. il existe des cas dans lesquels il est souhaitable de 
pouvoir relire une copie privee effectuee dans un premier domaine sur un 
5 dispositif de presentation d'un second domaine. Notamment, si un utilisateur 
souhaite visualiser sur le domaine d'un ami la copie d'un film effectuee sur son 
propre domaine, naturellement sans qu'une copie pulsse Stre r^alisee pour le 
domaine de Tami. 

Cecl peut egalement §tre necessaire en cas d'union ou de 

10 separation d'utilisateurs. En cas d'union, si chaque utilisateur avalt auparavant 
son propre domaine, les deux domaines ne pourront etre relies ensemble car 
les appareils des deux domaines ne partagent pas le mSme secret. Dans ce 
cas, si les deux utilisateurs ne veulent pas gerer deux domaines differents. il 
faudra que les contenus enregistres au pr6alable sur un premier domaine 

15 puissent §tre relus sur le deuxieme domaine. De meme. lorsque Ton souhaite 
separer un domaine en deux domaines differents (parce que des epoux se 
separent ou qu'un enfant quitte le domicile de ses parents), il est necessaire de 
pouvoir relire les contenus enregistres au prealable sur le domaine commun sur 
les deux nouveaux domaines. 

20 La presente invention vise a resoudre les probl§mes pr6cites. 

Expose de invention 

L'invention conceme a cet effet, un procede de traitement de 
donnees, chiffr6es selon un proc6de de chiffrement propre a un premier 

25 domaine de sorte qu'elles ne puissent §tre dechiffr6es qu'd Taide d'un premier 
secret propre audit premier domaine, lesdites donnfees etant repues dans un 
dispositif de pr6sentation raccord6 a un r§seau appartenant a un second 
domaine. Selon Tinvention, le proc6de comporte les 6tapes consistant pour le 
dispositif de presentation ^ : 

30 (a) transmettre a un dispositif de traitement raccorde au reseau une 

partle au moins desdites donnees chiffrees ; 

(b) recevoir dudit dispositif de traitement au moins un element 
permettant de dechiffrer lesdites donnees regues a Taide d'un second secret 
propre audit second domaine, ledit second secret etant contenu dans le 

35 dispositif de presentation. 

Ainsi le dechiffrement des donnees est delegue a un dispositif de 
traitement qui connait le premier secret propre au premier domaine et qui 
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effectue un traitement sur la partie des donn6es qu'il regoit de sorte que le 
dispositif de presentation du second domaine puisse dechiffrer les donnees 
re9ues simplement en connaissant le second secret propre au second domaine. 

De plus, comme le secret du premier domaine n'est pas transmis au 
5 dispositif de presentation du second domaine, il ne peut dechiffrer les donnSes 
regues que lorsque le dispositif de traitement est raccord6 au reseau du second 
domaine. 

Selon un mode de realisation particulier de I'inventlon. les donnees 
regues dans le dispositif de presentation sont chiffrees d I'aide d'une premiere 

10 cie symetrique. ladite premiere cie symetrique 6tant reque avec les donnees 
sous forme chlffree d I'aide du premier secret. Dans ce mode de realisation, 
retape (a) consiste a transmettre au dispositif de traitement la premiere cle 
symetrique chiffr6e a I'aide du premier secret ; et retape (b) consiste a recevoir 
du dispositif de traitement : la premiere cie symetrique chiffree a I'aide d'une 

15 seconde cie symetrique; et la seconde cie symetrique chiffree a I'aide du 
second secret propre au second domaine. 

Selon une caracteristique particuliere de I'invention, le precede 
comporte en outre les etapes consistant pour le dispositif de presentation a : 

(c) dechiffrer, e I'aide du second secret, la seconde cie symetrique 

20 chiffree ; 

(d) dechiffrer, d I'aide de la seconde cie symetrique, la premiere cie 
symetrique chiffir6e ; et 

(e) dechiffrer les donnees regues par ledit dispositif de presentation d 
I'aide de la premiere cie symetrique. 

25 Selon un mode de realisation particulier de I'invention, le precede 

comporte en outre, avant retape (a), une etape consistant pour le dispositif de 
presentation a generer un nombre aieatoire, le nombre aieatoire etant transmis 
au dispositif de traitement, d retape (a), avec le chiffrement de la premiere cie 
symetrique. Dans ce mode de realisation les donnees regues a I'etape (b) 

30 contiennent un nombre aieatoire et la premiere cie symetrique chiffres a I'aide 
de la seconde cie symetrique ; retape (d) comprend 6galement le 
dechiffrement, e I'aide de la seconde symetrique, du nombre aieatoire chiffr6 
regus a I'etape (b) ; et le precede comporte en outre, avant retape (e), une 
etape de verification que le nombre aieatoire d6chiffre e retape (d) est identique 

35 au nombre aieatoire genere avant I'etape (a) ; I'etape (e) n'etant effectuee qu'en 
cas de verification positive. 

Selon une autre caracteristique de I'invention, un identifiant de 
domaine est contenu dans les donnees regues par le dispositif de presentation ; 
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I'identifiant de domaine est transmis au dispositif de traitement lors de l'6tape 
(a) : et I'etape (b) n'est effectu6e que si le dispositif de traitement contient le 
m§me identifiant de domaine. 



5 Breve description des dessins 

D'autres caract6ristiques et avantages de {'invention apparaTtront a 
travers la description de modes de realisation particuliers non limitatifs, 
explicit6s d I'aide des figures jointes, parmi lesquelles : 

- la figure 1 est un scliema bloc d'un rdseau domestique num6rique 
1 0 raccordant entre eux des dispositifs appartenant d un premier domaine ; 

- la figure 2 est un schema bloc d'un reseau domestique comportant 
des dispositifs appartenant d un second domaine illustrant un mode de 
realisation de I'invention ; 

- la figure 3 est un diagramme temporel illustrant des ^changes de 
1 5 cl6s entre deux dispositife du rdseau domestique de la figure 2 ; 

- la figure 4 est un diagramme temporel illustrant les ^changes de 
donn^es entre des dispositifs du r§seau domestique de la figure 2 pemriettant 
de lire (sans le copier) dans le second domaine, un contenu enregistre dans le 
premier domaine. 

20 

Description d6taill6e de modes de realisation de I'invention 
Nous decrirons dans un premier temps, en liaison avec la figure 1 , 
un exemple de r6seau domestique dans lequel est mis en oeuvre un systeme 
de protection centre la copie permettant d'effectuer des copies priv6es des 
25 contenus num^riques, pour un usage futur uniquement dans le F§seau 
domestique dans lequel lis ont 6t6 copi§s. 

Le reseau comprend un dispositif source 1, un dispositif de 
presentation 2 et un dispositif d'enregistrement 3 reli6s ensembles par un bus 
numdrique 4, qui est par exemple un bus selon la norme IEEE 1394. 
30 Le dispositif source 1 comprend un d^codeur num6rique 10 dot6 

d'un lecteur de carte ^ puce muni d'une carte d puce 11 . Ce decodeur re9oit 
des donn6es numeriques. notamment des programmes audio/video distribues 
par un prestataire de service. 

Le dispositif de presentation 2 comprend un recepteur de television 
35 num§rique (DTV) 20 dot§ d'un lecteur de carte a puce muni d'une carte a puce 
21 et le dispositif d'enregistrement 3 est notamment un magnetoscope 
numerique (DVCR). 
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Les donn6es numeriques qui entrent sur le r6seau via le dispositif 
source 1 sont en general des donnees embrouillees par un fournisseur de 
contenu, par exemple selon le principe de la television payante. Dans ce cas, 
les donnees sont embrouilI6es d I'aide de mots de controle CW (de I'anglais 
5 « Control Word ») qui sont eux-meme transmis dans le flux de donnees sous 
forme chiffr6e a I'aide d'une cl6 de chlffrement Kf en 6tant contenus dans des 
messages de contrdle ECM (de I'anglais « Entitlement Control Message »). La 
cle de chlffrement Kf est mise S la disposition des utillsateurs qui ont pay6 pour 
recevoir les donnees, notamment en etant stock6e dans une carte d puce. 
10 Dans I'exempie de la figure 1, la carte d puce 11 contient une telle cl6 Kf ainsi 
qu'un module d'acc^s conditionnei CA 14 capable de d6chiffrer les mots de 
contrdle CW. 

Le dispositif source 1 qui regoit ces donnees num§riques 
embrouilltes les met ensuite en fomne pour qu'elles soient diffusees sur le 

15 reseau num6rique selon un format de protection sp6cifique au reseau 
domestique. Le d§codeur 10 comporte un module « unite ECM » 13 qui extrait 
du flux de donn6es regu les messages ECM contenant les mots de contrdle 
chiffres a I'aide de la cle Kf pour les transmettre au module CA 14. Celui-ci 
d6chiffre les mots de controle CW et les transmet d un module convertisseur 12 

20 egalement contenu dans la carte d puce 1 1 . 

Le rdle du module convertisseur 12 est de transformer les 
informations contenues dans les messages ECM en messages LECM (de 
I'anglais « Local Entitlement Control Message ») proteges S I'aide d'une cl6 
secrete sp6cifique au reseau domestique local, que Ton appellera la cl§ Kni. 

25 On suppose qu'auparavant le module convertisseur a genere 

al^atoirement une cl6 symetrique Kc et a requis le chlffrement de cette cle Kc a 
I'aide de la cl§ secrete du reseau Kni- Le module convertisseur possede done 
en memoire la cl6 Kc et la cle Kc chiffree par la cle secrete du reseau Kni : 
E{Kni}(Kc). 

30 Dans le reste de la description, on utilisera toujours la notation 

E{K}(M) pour signifier chlffrement avec une cle K des donnees M. 

La demande de brevet frangais No. 01 05568 precitee decrit en detail 
le proced6 qui permet au module convertisseur d'obtenir le chlffrement de la cl6 
Kc d I'aide de la cl6 secrete du reseau Kni, ce chlffrement etant effectue dans 

35 un dispositif de presentation. En effet, les dispositifs de presentation du reseau, 
tels que le dispositif 2 de la figure 1, sont les seuls d posseder la cie secrete du 
reseau Kni. Celle-ci est contenue dans la carte ^ puce 21 avec un module 
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terminal 22 charge, entre autre, des operations de chiffrennent et dechiffrement 
avec la cle du reseau 

Le fonctionnennent du systeme est le suivant. Lorsque des donnees 
numeriques sont regues dans le decodeur 10, le module « unite ECM » 13 
5 extrait les messages ECM contenant les mots de controle CW chiffres a Taide 
de la cle Kf specifique au fournisseur de contenu et les fournit au module CA 
14. Ce dernier ddchiffre les mots de contrdle CW et les transmet au module 
convertisseur 12. De plus, le message ECM peut ^galement contenir des 
informations de contrdle de la copie du contenu transmis indiquant si le contenu 

10 peut Stre copie librement ou non dans le reseau ou bien si le contenu peut 
seulement Stre visualise (ou ecoute...) dans le reseau. Ces infomiations sont 
^galement transmises au module convertisseur. 

Le module convertisseur construit ensuite un message LECM ^ partir 
de ces donn6es. Ce message comprend preferentiellement : 

15 - une partie A en clair contenant notamment les informations de 

controle de la copie du contenu. c'est a dire indiquant si le contenu est de type 
« copie libre », « copie privee » ou bien « lecture seule » ; ces informations sont 
souvent notees VCI (acronyme de Tanglais « Viewing Control Information »), La 
partie en clair contient egalement la cle Kc chiffree avec la cle du reseau : 

20 E{Kni}(Kc). 

- une partie B, chiffr6e avec la cle Kc. et contenant essentiellement le 
mot de contrdle d§chiffr6 CW ; on peut r^sumer cette partie a : E{Kc}(CW), 

- un champ d'integrite form§ par le r6sultat d'une fonction de 
hachage appliquee a I'ensemble des parties A et B avant chtffrement de la 

25 partie B. Ce champ dMntegrit6 permet avantageusement de v6rifier la valldite 
des messages LECM et permet de s'assurer qu'ils ne sont pas modifies 
illicitement. 

Le message LECM est ensuite transmis a Tunite ECM qui Tinsere 
dans le flux de donnees a la place des messages ECM. II est a noter que 
30 lorsque le contenu regu n'est pas d6Ja sous forme embrouillee comme decrit ci- 
dessus et ne contient pas de message ECM, le module convertisseur 12 est 
charge dans ce cas de mettre les donnees sous cette forme pour que le flux de 
donnees diffuse sur le reseau 4 soit toujours sous la forme de paquets de 
donnees tels le paquet 40 represents S la figure 1 contenant un message 
35 LECM et des donnees embrouillees. 

On peut r6sumer le contenu de ce paquet comme suit : 
LECM I E{CW}(<donn§es>) ; soit : 

E{KNi}(Kc)|VCI|E{Kc}(CW)|Champ d'integrit§ | E{CW}(<donnees>) ; 
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Oil « I » represente Toperateur de concatenation. 
Lorsque ces paquets de donnees sont regus par le recepteur de 
television numerique 20, ils sont transmis au module « Unite LECM » 23 qui en 
extrait les messages LECM pour les transmettre au module terminal 22. Ce 
5 dernier dechiffre tout d'abord E{Kni}(Kc) a Taide de la cle Kni pour obtenir la cle 
Kg. Ensuite, ^ Taide de la cl6 Kc. il dechiffre E{Kc}(CW) pour obtenir le mot de 
controle CW qu'il transmet au module « Unite LECM » 23. Celui-ci est alors en 
mesure de desembrouiller les donnees E{CW}(<donn6es>) a Taide du mot de 
contraie. Les donnees d6sembroulll6es sont ensuite presentees a rutllisateur. 

10 Dans le cas de donn§es vld6o, celles-cl peuvent §tre vlsualis6es sur le 
recepteur de tdlSvision 20. 

Si le flux de donn6es contenant les paquets 40 est enregistre par le 
magnetoscope num6rique 3 pour Stre relu plus tard, nous constatons que ceci 
n'est possible que si le dispositif de presentation sur lequel les donnees dolvent 

15 Stre presentees contient la cle secrete Kni du domaine dans lequel les donnees 
ont ete enregistrees. Nous appellerons dans la suite ce domaine N1. 

Rappelons que nous entendons par domaine, dans Texemple de la 
figure 1, le reseau domestlque numerique ainsi que Tensemble des appareils 
qui y sont connect6s ainsi egalement que des appareils de presentation 

20 portables (non representes) qui sont susceptibles d'etre raccordes au reseau 
domestique et qui appartlennent aux membres de la famllle poss6dant le 
reseau domestique. Les appareils de presentation portables (par exemple des 
lecteurs de ficliiers muslcaux compress6s) sont consid§res comme faisant 
partie du domaine N1 lorsqu'ils contiennent la cl6 secrete Kni. On pourra se 

25 reporter a la demande de brevet frangais No. 01 05568 pr§citee pour y trouver 
une description de la manidre dont la cl6 secrete du domaine N1 est transmise 
aux nouveaux dispositifs de presentation qui « entrent » dans le domaine (par 
exemple lorsqu'un membre de la famille achete un nouvel appareil). 

Supposons maintenant qu'un utilisateur ayant enregistre un contenu 

30 (par exemple un film) de type « copie privee » sur son domaine N1 souhaite 
pouvoir le visualiser sur un recepteur de television appartenant a un autre 
domaine que nous noterons N2. 

Dans ce cas, Tutilisateur inserera par exemple une cassette 
contenant le film dans un magnetoscope numerique du domaine N2. Ce 

35 magnetoscope diffusera le film sur le r6seau domestique du domaine N2 pour 
qu'il soit visualise sur un recepteur de television du domaine N2. Mais comme 
ce dernier ne connait pas la cle secrete du domaine N1, Kni, il ne pourra 
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dechiffrer le contenu des messages LECM at done ne pourra pas 
desembrouiller les donnees pour presenter le film a Tutllisateur. 



Nous allons maintenant decrire comment, grace a Tinvention, il sera 
5 possible de visualiser dans le domaine N2 le contenu enregistre comme « cople 
privee » dans le domaine N1 sans pour autant qu'il soit possible de rdaliser une 
copie de ce contenu pour le domaine N2, ou du moins de maniere S ce qu'en 
cas de copie dans le domaine N2, cette copie ne puisse pas 3tre relue dans le 
domaine N2. 

10 Pour cela, il est prdvu un module special reunissant les 

fonctionnalites d'un module convertlsseur et d'un module terminal et Indus 
pr6f6rentlellement dans une carte a puce. Nous parlerbns dans la suite soit du 
module terminal/convertrsseur, soit de la carte terminal/convertisseur. 

Ce module devra d'abord etre initialise dans le domaine N1 pour 
15 recevoir le secret du domaine N1, a savoir la cle Kni, puis il sera raccorde au 
domaine N2 pour realiser le dechiffrement des parties chiffrees avec la cle Kni 
des paquets de donnees formant le contenu. 

Nous decrirons ci-dessous plus en details comment ces etapes sont 

realisees. 

20 Sur la figure 2, nous avons represents schematiquement le rdseau 

domestique numerique d'un domaine N2 dans lequel est mis en oeuvre le mode 
de realisation pr6f6re de I'invention. Nous n'avons represents que les elements 
necessaires d la comprehension de invention. 

Dans ce rSseau, un bus numerique 204 relie entre eux un 

25 magnStoscope numerique 203, un dispositif de presentation 202 et un dispositif 
source 201. Le bus numerique 204 est preferentiellement un bus selon la 
norme IEEE 1394. Le dispositif de presentation 202 comprend un recepteur de 
television numerique DTV 220 qui comporte un module « Unite LECM » 223 et 
une carte a puce 221 comprenant un module terminal 222. Dans la carte a puce 

30 221 est memorisee la cle secrete du domaine N2 : Kn2. 

Le dispositif source 201 comprend un decodeur numerique 210 qui 
comporte un module « Unite ECM » 213. Dans le decodeur 210 se trouve 
inseree une carte terminal/convertisseur 21 1 qui comprend un module terminal 
214 et un module convertlsseur 212. Cette carte 211 est inserSe d la place 

35 d'une carte « convertlsseur », c'est & dire d'une carte a puce contenant un 
module convertlsseur telle la carte 11 de la figure 1, dans le dispositif source 
201. 
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En pratique, la carte terminal/convertisseur 211 appartient a 
I'utillsateur du domaine N1 et celui-ci I'insere dans un dispositif source (ou bien 
dans un dispositif de presentation comme on le verra dans un second mode de 
realisation) du domaine N2 lorsqu'il souhaite visualiser dans le domaine N2 un 
5 contenu enregistre comme « copie privee » dans le domaine N1. 

Le module terminal 214 contient la cle s6cr§te du domaine N1 qu'il a 
regu lors d'une phase d'initialisation de la carte terminal/convertisseur 21 1 dans 
le domaine N1. 

En effet, avant d'etre raccord^e au r^seau du domaine N2, la carte 
10 terminal/convertisseur 211 a 6t6 au pr^alable raccordee au reseau du domaine 
N1 en 6tant inser^e dans un dispositif de presentation de N1 d la place de la 
carte « tenninal » (une carte d puce contenant un module temiinal telle la carte 
21 de la figure 1) qui s'y trouve habituellement. Le module tenninal 214 6tait 
alors considere comme « vierge », c'est a dire n'appartenant a aucun domaine. 
15 Le module terminal 214 a ensuite regu du dispositif « g^niteur » du 

domaine N1 la cl§ secrete Kni avant de devenir « sterile ». 

Les termes « vierge », « geniteur » et « sterile » sont definis dans la 
demande de brevet fran?ais No. 01 05568 precit6e et designent respectivement 
un dispositif de presentation (ou plus pr6cis§ment son module terminal) : 
20 - qui n'est raccord6 a aucun domaine et ne contient aucune cle 

secrete de domaine (dispositif ou module terminal « vierge ») ; 

- qui possdde la cl6 secrete d'un domaine et peut la transmettre a un 
nouveau dispositif de presentation vierge susceptible d'§tre raccordS au 
domaine (dispositif ou module terminal « geniteur ») ; et 
25 - qui possdde la cle secrete d'un domaine mais ne peut pas la 

transmettre ^ un autre dispositif (dispositif ou module terminal « sterile »). 

La demande de brevet pr§cit6e decrit egalement les mecanismes de 
transmission securisee de la cl6 secrete entre les d liferents dispositifs. 

Apres cette phase d'initialisation dans le domaine N1. la carte 
30 terminal/convertisseur 21 1 est done raccordee ^ un domaine N2 dans lequel on 
souhaite visualiser un contenu enregistre comme « copie privee » dans le 
domaine N1. Sur la figure 2, elle est ins6r§e dans le decodeur numerlque 210 
du dispositif source 201 . 

La figure 3 illustre les stapes qui sont mises en oeuvre apres que la 
35 carte terminal/convertisseur 21 1 a dt§ raccord6e au r§seau du domaine N2. 

Lors d'une premiere 6tape 100, une cl6 sym6trique K'c est g6n6r6e 
al§atoirement par le module convertisseur 212 de la carte terminal/ 
convertisseur 21 1 et est m^moris^e dans la carte 211. 
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Lors de I'^tape suivante 101, le dispositif source 201 diffuse sur le 
r^seau du domaine N2 un message de requ§te pour recevoir une cl§ publique 
d'un dispositif de presentation du r6seau. Chaque dispositif de presentation 
poss^de en effet une paire de cles asymetriques memorisee dans la carte a 
5 puce qui contient le module terminal. Par exemple, le dispositif de presentation 
202 de la figure 2 poss6de une cte publique Kpub_t2 et une cl6 privSe KpRi ja. 
Ces cies sont utilisees de mani^re connue en sol pour r6aliser des operations 
de chiffrement ou de dechifFrement d I'aide d'algorithmes cryptographiques 
asymetriques (par exemple I'algorithme RSA, du nom de ses crSateurs Rivest, 

1 0 Shamir et Adieman). 

N'importe quel dispositif de presentation du domaine N2 peut 
repondre d cette requ§te 101. On suppose dans la suite que le dispositif de 
presentetion 202 r6pond d la requete en envoyant sa cie publique Kpub_t2 au 
dispositif source 201 lors de I'etape 102. 

15 Le module convertisseur 212 realise alors le chiffrement de la cl6 

symetrique K'c a I'aide de la cie publique Kpub_t2 re9ue (etape 103) puis il 
envoie le resultat de ce chiffrement E{Kpub_t2}(K'c) au dispositif de presentation 
202 (etape 104). Ce dernier dechiffre le resultat re?u a I'aide de sa cie privee 
KpRi_T2 pour obtenir K'c (etape 105). II proc6de ensuite (etape 106) au 

20 chiffrement de K*c avec la cte secrete du domaine N2, Kn2, pour obtenir 
E{Kn2}(K'c), resultat qu'il envoie au dispositif source 201 a I'etape 107. Ce 
resultat E{Kn2}(K'c) est memorise dans la carte termlnal/convertlsseur 211 a 
I'etape suivante 108. 

La carte terminal/convertisseur est malntenant prete a effectuer le 

25 dechiffrement du contenu de type « copie privee » du domaine N1 pour le 
domaine N2. 

Nous aliens maintenant decrire. en liaison avec la figure 4, le 
precede mis en oeuvre pour cela. 

30 Sur la figure. 4. on a represente par trois axes verticaux descendants 

t I'axe du temps pour illustrer les traitements effectues par le magnetoscope 
numerlque DVCR 203, le dispositif de presentation 202 et la carte 
terminal/convertisseur 21 1 ainsi que les echanges entre ces elements lorsqu'un 
nouveau contenu provenant du domaine N1 est diffuse sur le reseau 

35 domestique numerique du domaine N2. 

Dans un premier temps, I'utilisateur ins6re par exemple la cassette 
video contenant le programme video enregistre dans le domaine N1. dans le 
magnetoscope numerique 203 du domaine N2. Le magnetoscope diffuse alors 
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classiquement sur le reseau du domaine N2 les donnees enregistrees sur la 
cassette. 

Nous supposons que I'utilisateur souhaite visualiser le contenu sur le 
dispositif de presentation 202. II rdglera done ce dispositif sur le canal de 
5 diffusion du magnetoscope numerique 203 pour recevoir les donnees. 

Ces donnees difhjs^es d I'^tape 401 de la figure 4 contiennent des 
paquets de donnas tela que le paquet suivant : 

LECM1 I E{CW}(<donn6es>), soit 

E{Kni}(Kc) I E{Kc}(CW) I Champ d'int6grit6 | E{CV\/}(<donn§es>), oCi 
10 le Champ d'integrit^ est calculi comma suit : 
Hash (E{Kni}(Kc) | CW). 

avec « Hash (x) » qui repr6sente une fonction de hachage, c'est ^ 
dire une fonction math^matique qui transforme un ensemble de donnees 
d'entree « x » en un ensemble de donnees « y » de taille fixe, souvent 

15 inferieure d la taille des donnees d'entree, et representatives des donnees 
d'entrees ; cette fonction est de plus une fonction a sens unique (« one way 
function » en anglais) c'est a dire que, connaissant « y », il est impossible de 
retrouver « x » tel que y= Hash(x). Preferentiellement, nous utilisons ia fonction 
SHA-1 decrite dans le document « Secure Hash Standard, FIPS PUB 180-1. 

20 National Institute of Standard Technology. 1995 ». 

Lorsqu'un tel paquet de donnees est regu dans le dispositif de 
presentation 202, le module « Unite LECM » 223 extrait le message LECM1 du 
paquet de donnees et le transmet au nnodule terminal 222. 

Celui-ci va tout d'abord d^tecter a l'6tape 402 que ce message 

25 LECM1 provient d'un domaine different du domaine N2. 

Pour cela, selon une premiere variante de realisation pr^feree, le 
message LECM1 contient en outre dans sa partie en clair, c'est a dire dans sa 
partie qui n'est pas chiffree par la cl6 Kc, un identifiant de domaine IDni- Get 
identifiant identifie de maniere unique le domaine N1 et est par exemple le 

30 resultat d'une fonction de hachage appliquee a la cie secrete du domaine N1, 
Kni. L'identifiant IDni est contenu dans toute carte terminal d'un dispositif de 
presentation du domaine N1. II est egalement contenu dans ce cas dans la 
carte terminal/convertisseur 21 1 . 

La carte terminal 221 du dispositif de presentation 202 contient 

35 aussi, en plus de la cle secrete du domaine N2, un identifiant du domaine N2 : 
IDn2- Le module terminal 222 compare done l'identifiant IDni contenu dans le 
message LECM1 avec l'identifiant contenu dans la carte terminal/convertisseur 
IDn2. Lorsque les deux identifiants sont diff6rents, le module terminal 222 en 
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d§duit que le message LECM1 regu provient d'un domaine different du domaine 
N2. 

Selon une deuxieme variante de realisation, le message LECM1 ne 
contient pas d'identifiant de domaine. Le module terminal 222 utilisera dans ce 
5 cas le Champ d'integrite du message LECM1 pour verifier si ce message 
provient du domaine N2 ou non. 

En effet, si le module tenninal 222 d^chiffre le message LECM1 avec 
la cl6 Kn2 et applique la fonction de hachage « Hash(x) » pr6cit6e aux donnSes 
dechiffrees, le r6sultat obtenu sera different du Champ d'int6grit§ du message 
10 LECM1 et le module temnfnal en deduira que le message LECM1 provient d'un 
domaine diff)§rent de N2. 

A I'etape suivante 403, le module terminal 222 g6n6re un nombre 
al^atoire R. Ce nombre est pr6f§rentiellement gener^ par un g6n6rateur de 
nombres pseudo-al6atoires bien connu en soi. Le nombre R est un challenge 
15 utilise pour pr6venir les « replay attacks » (attaques consistant ^ rejouer des 
messages enregistr6s). Le nombre R est memorise temporairement d I'etape 
403 dans une zone de memoire s6curisee de la carte 221. 

Le dispositif de presentation 202 diffuse ensuite sur le reseau, d 
I'etape 404, un message contenant les donnees suivantes : 
20 R I E{Kni}(Kc) I IDni 

L'identifiant IDni n'est inclus dans ce message que dans la premiere 
variante de realisation d^crite ci-dessus. 

Cette diffusion est efPectu6e en utilisant le canal asynchrone du bus 
204 par lequel transitent habituellement les messages de commande (I'envol 
25 par le canal asynchrone du bus 204 est repr6sent6 par une fleche en pointings 
a la figure 4). 

Le dispositif source 201 qui regoit ce message le transmet a la carte 
terminal/convertisseur 21 1 . 

L'etape suivante 405 n'a lieu que dans le cadre de la premldre 
30 variante de realisation precitee et consiste ^ verifier que l'identifiant inclus dans 
le message regu a I'etape 404 est identique a celui contenu dans la carte 
terminal/convertisseur 211. Si les deux identifiants ne sont pas identiques, alors 
le procede s'arrete car la carte terminal/convertisseur 21 1 n'est pas en mesure 
de dechiffrer I'information E{Kni}(Kc)- Si les identifiants sont identiques. par 
35 centre, le proc6d6 se poursuit par I'etape 406 lors de laquelle la carte 
terminal/convertisseur d6chiffire E{Kni}(Kc) ^ I'aide de la cl6 Kni pour obtenir la 
cle Kc. 
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Dans le cas ou la seconde variante de realisation est utilises, I'etape 
405 n'a pas lieu et toute carte terminal/convertisseur raccordee au r^seau du 
domaine N2 effectuera I'etape 406 et les suivantes 407 et 408. 

A r6tape 407, la carte terminal/convertisseur chiffre les donn§es R et 
5 Kc avec la cl§ K'c puis elle construit le message suivant : 
E{Kn2}(Kc) I E{K'c}(R|Kc) 

qu'elle transmet au dispositif de presentation 202, toujours via le 
canal asynchrone du bus 204, d I'etape 408. 

A l'§tape 409, le module terminal 222 d6chiffre E{Kn2}(K'c) avec la 
1 0 cl§ Kn2 pour obtenir la cte K'c avec laquelle il dechiffre E{K'c}(R|Kc) pour obtenir 
R|Kc ^ r^tape suivante 41 0. 

Ensuite, d I'Stape 411, le module terminal 222 verifie que le nombre 
R retrouv6 a I'etape 410 est bien le m§me que celui qui a ete g§n§r§ et 
m6moris6 d I'etape 403. Si ce n'est pas le cas, le proc6d6 s'arrSte car cela 
15 signifie que le message re9u d I'etape 408 n'est pas valide. 

Si la verification est positive, le proc§d6 se poursuit d I'etape 412 par 
le d§chiffrement du message LECM1 a I'aide de la cle Kc obtenue a I'etape 
410. Plus precisement, I'information E{Kc}(CW) est d6chiffree pour obtenir le 
mot de controle en clair CW. 
20 Le module temninal 222 verifie egalement d I'etape 412 I'integrite du 

message LECM1 en calculant : 

Hash (E{Kni}(Kc) | CW) a partir des donn6es dechiffrees ci-dessus et 
en comparant ce resuitat au Champ d'int^grite du message LECM1 . 

Lorsque la deuxi^me variante de realisation mentionnee ci-dessus 
25 est mise en oeuvre, le dispositif de presentation 202 peut 6ventuellement 
recevoir plusieurs messages du type de celui envoye d I'etape 408 si plusieurs 
cartes terminal/convertisseur sont raccordees au reseau du domaine N2. Dans 
ce cas, le module temninal 222 effectue les etapes 409 a 412 pour chaque 
message regu ^ I'etape 408 et lorsque la verification de Tintegrite du message 
30 LECM1 est correcte, le module terminal en deduit que le message regu a 
retape 408 est celui issu de la carte terminal/convertisseur provenant du 
domaine N1. 

Si la verification d'integrite echoue dans tous les cas, alors le 
procede est arrete. On peut prevoir dans ce cas d'afficher un message 
35 d'avertissement a destination de I'utilisateur. 

Sinon, le module temninal 222 transmet le mot de contrdle CW 
dechiffre au module « Unite LECM » du recepteur de television 220 et celui-ci 
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peut ainsi desembrouiller, a r§tape 413, les donnees du paquet de donnees 
refu a Tetape 401. 

Le dispositif de presentation 202 est aussi capable, grace a la cle Kc 
qu1l m§morise temporairement, de d6chiffrer les paquets de donnees suivants 
5 du contenu diffuse par le magnetoscope nunnerique 203 tant que les nnessages 
LECM1 de ces paquets sont proteges par la mfime cle Kc. Si jamais la cle Kc 
change alors les etapes 403 a 412 sont repetees pour que le dispositif de 
presentation 202 re^oive la nouvelle cle Kc de la carte terminal/convertisseur 
211. 

10 Ensuite, lorsque rensemble des paquets de donnees formant le 

contenu ont 6t§ regus et d6chiffres par le dispositif de pr6sentation 202, ce 
dernier efface de sa m6nnoire d I'fetape 414 le nombre R et la cle Kc qu'il avait 
memorises temporairement pour effectuer les calculs ci-dessus. 

15 A la figure 2, nous avons illustre un mode de realisation dans lequel 

la carte temiinal/convertisseur 211 est inseree dans un dispositif source du 
domaine N2, a la place de la carte convertisseur qui sV trouve normalement. 

Mais 11 est egalement possible, dans un second mode de realisation, 
d'inserer la carte terminal/convertisseur dans un dispositif de presentation du 

20 domaine N2, a la place de la carte terminal qui sV trouve habituellement Le 
precede fonctionnera de la meme maniere que ce qui a ete decrit en liaison 
avec les figures 3 et 4. Cependant, dans ce cas, il est necessaire naturellement 
que le domaine N2 comprenne au moins deux dispositlfs de presentation de 
manidre d ce qu'au moins un des dispositifs puisse conserver sa carte terminal 

25 contenant la cle Kn2 du domaine pour mettre en ceuvre les Stapes qui sont 
illustrees aux figures 3 et 4. 

Uinvention ne se limite pas aux exemples de realisation qui viennent 
d'etre decrits. En particulier, elle s'applique egalement aux r6seaux 

30 domestiques numSriques dans lesquels les donnees (notamment les messages 
LECM) sont protegees a Taide d'une paire de cles asymetriques specifique au 
domaine auquel appartient le reseau, la cle publique du reseau etant contenue 
dans les dispositifs sources pour chiffrer les donn6es et la cle priv6e 6tant 
contenue dans les dispositifs de presentation pour d6chiffrer les donnees. Dans 

35 ce cas, la carte terminal/convertisseur doit contenir, apres la phase 
d'initialisation, la cle privee du premier domaine N1 et la cle publique du second 
domaine N2 pour §tre en mesure de dechiffrer les donnees chiffrees pour le 
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premier domaine et de les re-chiffrer de mani§re d ce qu'elles soient 
dechiffrables par un dispositif de presentation du second domaine. 



5 ou des donnees numeriques, protegees par un systeme d'acces conditionnel 
d'un fournisseur de contenu, sont revues dans un domaine donne N2 et sont 
directement enregistr6es dans un dispositif d'enregistrement du domaine N2 
sans avoir ete au pr^alable « converties » par un module convertisseur du 
domaine N2 pour etre relues dans le domaine N2. Lorsque ces donn6es 

10 enregistr6es sont ult6rieurement regues par un dispositif de presentation du 
domaine N2 pour §tre pr6sent§es ^ un utilisateur, ce dispositif de presentation 
n'est pas capable de d§chiffrer les ECM contenant les mots de contrdle CW 
proteges par un secret propre au fournisseur de contenu (typiquement. la cle Kf 
apparalssant d la figure 1 dans le module CA 14). On considere dans ce cas 

15 que le « premier domaine » au sens de la presente invention est celul du 
fournisseur de contenu. Le dispositif de presentation diffuse alors sur le reseau 
du domaine N2 les messages ECM pour que ceux-ci soient convertis par un 
module convertisseur du domaine N2 (associe a un module d'acces 
conditionnel du foumisseur de contenu) en messages LECM dechiffrables a 

20 Taide du secret du domaine N2. 



De meme. I'invention s'applique aussi dans un autre cas particulier 
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REVENDICATIONS 



1. Procede de traitement de donnees (LECM1), chiffrees selon un 
proced§ de chiffrement propre ^ un premier domaine de sorte qu'elles ne 

5 puissent etre dechiffrees qu'a I'aide d'un premier secret (Kni) propre audit 
premier domaine, lesdites donnees etant revues dans un dispositif de 
presentation (202) raccorde ^ un reseau appartenant a un second domaine, 
caract^ris^ en ce qu'il comporte les stapes consistant pour le dispositif de 
presentation d : 

10 (a) transmettre (404) d un dispositif de traitement (211) raccord^ au 

rSseau une partie (E{Kni}(Kc)) au moins desdites donnees chiffrees ; 

(b) recevoir (408) dudit dispositif de traitement (211) au moins un 
6l6ment (E{Kn2}(K'c)|E{K'c}(Kc)) permettant de d6chiffrer lesdites donnees 
re9ues d i'aide d'un second secret (Kn2) propre audit second domaine, ledit 

1 5 second secret dtant contenu dans le dispositif de presentation. 

2. Procede selon la revendication 1. caract§rise en ce que les 
donn6es regues dans le dispositif de presentation (202) sont chiffrees a I'aide 
d'une premiere cl§ symetrique (Kc), ladite premiere cle symetrique etant regue 

20 avec lesdites donnees sous forme chiffree (E{Kni}(Kc)) a I'aide du premier 
secret (Kni) ; 

en ce que I'Stape (a) consiste d transmettre au dispositif de 
traitement la premiere cl6 symetrique chiffr6e (E{Kni}(Kc)) S I'aide du premier 
secret ; et 

25 en ce que I'^tape (b) consiste d recevoir du dispositif de traitement : 

- ladite premiere cl6 symetrique chiffree (E{K'cKKc)) ^ I'aide 
d'une seconde cie symetrique (K'c) ; et 

- la seconde cte symetrique chiffree (E{Kn2}(K'c)) ^ I'aide du 
second secret (Kn2) propre au second domaine. 

30 

3. Precede selon la revendication 2, caracterise en ce qu'il comporte 
en outre les etapes consistant pour le dispositif de presentation a : 

(c) dechiffrer (409). a I'aide du second secret (Kn2). la seconde cie 
symetrique (K'c) chiffree ; 

35 (d) dechiffrer (410). a I'aide de la seconde cie symetrique (K'c), la 

premiere cie symetrique (Kc) chiffree ; et 

(e) dechiffrer les donnees regues (LECM1) par ledit dispositif de 
presentation d I'aide de la premiere cie symetrique (Kc). 
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4. Proc6d6 selon la revendicatibn 3, caracterise en ce qu'il comporte 
en outre, avant I'etape (a), une 6tape (403) consistant pour le dispositif de 
presentation d gen6rer un nombre aleatoire (R), 

5 ledit nombre al6atoire (R) etant transmis au dispositif de traitement, d 

I'etape (a), avec le chiffrement (E{Kni}(Kc)) de la premiere cle sym6trique ; 

et en ce que les donn6es regues d I'etape (b) contlennent un nombre 
al6atolre (R) et la premiere cl6 sym§trique (Kc) chiffir6s (E{K'c}(R|Kc)) ^ I'aide 
de la seconde cie sym^trique (K'c) '. 
10 I'etape (d) comprenant 6galement le d^chiffrement, d I'aide de la 

seconde sym^trique (K'c), du nombre al6atoire (R) chlffr6 regus d I'etape (b) ; et 
le precede comportant en outre, avant I'etape (e), une 6tape de 
verification (411) que le nombre aleatoire (R) d6chiffre d i'etape (d) est 
identique au nombre aleatoire (R) g6n6r§ avant l'6tape (a) ; I'etape (e) n'fetant 
1 5 effectuSe qu'en cas de verification positive. 

5. Precede selon I'une des revendications precedentes, caracterise 
en ce qu'un identifiant de domaine (IDni) est contenu dans les donnees 
(LECM1) regues par le dispositif de presentation (202) et 

20 en ce que ledit identifiant de domaine est transmis au dispositif de 

traitement (211) lors de I'etape (a) ; 

retape (b) n'etant effectuee que si ledit dispositif de traitement 
contient le mSme identifiant de domaine. 

25 
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